外包公司偷走287万条患者信息！医院挂号系统竟成“数据漏斗”

　　你以为只是挂个号，你的姓名、电话、病情可能已经被打包卖掉。近300万条患者信息，被一家软件公司非法窃取，存了整整六年。直到案发，这些数据才被发现。而背后，是一条看不见的“医疗数据黑产”。张律师带您梳理整个案件经过。

　　一、事情经过

　　博某软件有限公司，是一家专门为医院开发、维护网上挂号系统的企业。2015年到2020年间，这家公司负责为某医院提供技术服务。按理说，他们应该保护好患者的隐私数据。但公司的法定代表人何某某，动了歪心思。他做了什么？在提供服务的过程中，何某某暗中从医院后台非法获取挂号用户的个人信息安排员工熊某、罗某某，把这些数据导入公司自己建的数据库2021年初，熊某又安排人在为医院开发的软件上安装接口，实现自动导入——也就是说，每有一个患者挂号，信息就自动“备份”到公司的私人数据库里案发后，警方在公司服务器、自建数据库，甚至何某某家里的设备中，都提取到了大量患者个人信息。数据去重后，合计2878070条。将近288万条。这些信息包括什么？姓名、身份证号、手机号、就诊科室、病情描述……几乎涵盖了患者的所有敏感信息。

　　二、法院判决

　　江苏省无锡市锡山区人民法院审理后，作出判决：被告单位博某软件有限公司：以侵犯公民个人信息罪，判处罚金人民币30万元被告人何某某（法定代表人）：判处有期徒刑五年六个月，并处罚金人民币10万元被告人熊某、罗某某（直接责任员工）：分别判处有期徒刑一年六个月至一年六个月不等，并处罚金公司被罚，老板坐牢，员工也跟着判刑。这不是简单的“违规收集数据”，而是刑事犯罪。

　　三、法律分析：为什么判得这么重？

　　1.近288万条信息，属于“情节特别严重”根据《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》：非法获取、出售或者提供诊疗信息、财务信息、行踪轨迹等敏感信息，500条以上就构成“情节严重”5000条以上，就属于“情节特别严重”而本案中，近288万条——是“情节特别严重”标准的500多倍。所以五年半的有期徒刑，完全在法律裁量范围内。

　　2.“提供服务过程中获取”是从重情节这个案子的特殊性在于：博某公司不是第三方黑客，而是受医院委托提供服务的外包商。它利用技术便利，在正常的服务范围之外，私自收集、存储患者数据。司法解释第四条明确规定，这种行为属于“在提供服务过程中收集公民个人信息”，是典型的从重情节。换句话说：你本来是看门的，结果你偷偷配了钥匙去偷东西——罪加一等。

　　3.单位犯罪：公司和负责人一起罚很多人以为：“公司做的事，抓公司就行了，老板没事？”错。刑法规定，单位犯侵犯公民个人信息罪的，对单位判处罚金，同时对直接负责的主管人员（比如法定代表人何某某）和其他直接责任人员（比如熊某、罗某某）判处刑罚。所以公司被罚30万，老板和员工照样坐牢。

　　四、案件警示

　　警示一：外包不是“法外之地”，数据安全责任跑不掉很多医院、学校、企业把IT系统外包出去，以为签了合同就万事大吉。但这个案子告诉我们：外包公司是最大的风险点之一。它既掌握技术，又接触数据，一旦起歪心思，数据就像流水一样被抽走。委托方必须对外包公司的数据操作进行严格审计、实时监控，不能做“甩手掌柜”。

　　警示二：医疗信息是“最值钱”的个人信息之一在黑市上，医疗信息的单价往往高于普通身份信息。为什么？因为医疗信息包含：姓名+身份证+手机号+就诊记录+病情。这些信息可以用于：精准诈骗（冒充医保局、医院）保险欺诈敲诈勒索一个癌症患者的电话号码，在黑灰产眼里，就是一条“高价值线索”。

　　警示三：企业法定代表人不是“挂名”的，出了事第一个找你何某某作为法定代表人，被判了五年半。很多企业老板觉得：公司的事是公司的事，我个人没拿钱就没责任。错了。法定代表人是法律上的“直接负责的主管人员”，公司犯罪，第一个追责的就是你。你以为只是签个字、挂个名？法官可不这么看。

　　五、张律师的三点建议

　　1.挂号、就诊时，注意授权范围很多医院的App或小程序会请求“读取通讯录”“访问相册”等无关权限。能拒绝的尽量拒绝，不给就不给。

　　2.定期检查是否有异常的就诊记录现在很多地方有“电子健康码”或医保App，可以查询自己的就诊记录。如果发现你从未去过的医院出现了你的挂号信息，说明数据可能已被滥用，立即向医院和公安机关反映。

　　3.接到“医院”“医保局”来电，先挂断再核实骗子拿到你的医疗信息后，可能冒充医院说你“医保卡异常”“有违规开药记录”等。凡是电话里要你转账、提供验证码的，一律是诈骗。挂断后，自己拨打官方电话核实。